DQE One verbindet sich über eine dedizierte Autorisierung mit Ihrer Salesforce-Org (die Anwendung DQE One Installer, in neueren Salesforce-Orgs External Client App genannt), die bei der Installation erstellt wird. Bei jedem Start eines Prozesses — ein geplanter Job, eine manuelle Zusammenführung, eine Data-Stewardship-Aktion oder ein Mapping-Lauf — verwendet DQE One einen in seiner Konfiguration gespeicherten Refresh Token, um vor dem Aufruf des DQE-Dienstes einen kurzlebigen Access Token anzufordern. Ist dieser Refresh Token nicht mehr gültig, schlägt der Prozess sofort mit dem Fehler „Expired access/refresh token" fehl, selbst wenn sich an der Konfiguration des Prozesses selbst nichts geändert hat.
Häufige Symptome
- ein Prozess, der zuvor erfolgreich lief, schlägt nun sofort beim Start fehl;
- die Fehlermeldung enthält „expired access/refresh token" oder „invalid_grant";
- der Fehler steht nicht im Zusammenhang mit einer kürzlichen Änderung am Prozess, Mapping oder Rule Set;
- geplante Jobs, manuelle Zusammenführungen, Data-Stewardship-Aktionen und Echtzeit-Aufrufe können alle betroffen sein, da sie dieselbe Verbindung nutzen;
- das Problem kann nach einiger Zeit erneut auftreten, auch wenn es zuvor bereits behoben wurde.
Warum das passiert
Der von DQE One verwendete Refresh Token ist an die Autorisierung gebunden, die der Anwendung DQE One Installer bei der Einrichtung erteilt wurde. Salesforce invalidiert diesen Refresh Token unabhängig von DQE One, wenn auf Org-Seite einer der folgenden Fälle eintritt:
- die OAuth-Richtlinie der Connected App erzwingt eine Gültigkeitsdauer für den Refresh Token (z. B. „läuft nach einem festgelegten Zeitraum ab") und dieser Zeitraum ist abgelaufen;
- der Token wurde ausdrücklich widerrufen — zum Beispiel über Setup > Connected Apps OAuth Usage, oder im Rahmen einer Sicherheitsüberprüfung;
- der Salesforce-Benutzer, der die Verbindung ursprünglich autorisiert hat, wurde deaktiviert, gesperrt, oder ihm wurde die Berechtigung API Enabled entzogen;
- die OAuth-Richtlinie der Connected App rotiert den Refresh Token bei jeder Verwendung (Rotate Refresh Token) — DQE One speichert nur einen einzigen Refresh-Token-Wert und aktualisiert ihn nur bei einer Installation/Neuinstallation; ist diese Rotation in Ihrer Org aktiviert, kann der gespeicherte Wert zwischen zwei Installer-Durchläufen veralten.
In all diesen Fällen stellt eine erneute Verbindung von DQE One über das Setup — wie unten beschrieben — einen neuen Refresh Token aus und behebt den Fehler.
Lösung: DQE One erneut verbinden
- Gehen Sie zum DQE-One-Setup.
- Deinstallieren Sie die bestehende Konfiguration.
- Starten Sie die Installation erneut, indem Sie auf Start Installation klicken.
- Füllen Sie das Lizenzfeld aus.
- Füllen Sie die Backend-URL nur aus, wenn Sie einen eigenen, selbst gehosteten DQE-Server nutzen — lassen Sie sie sonst leer.
- Wählen Sie die zu Ihrem Vertrag gehörenden Produkte aus.
- Schlägt die Installation wegen der vorherigen Anmeldedaten fehl, klicken Sie auf der Fehlerseite auf Exit (nicht auf Retry), damit die vorherigen Anmeldedaten deinstalliert werden, statt sie wiederzuverwenden.
- Starten Sie die Installation erneut mit denselben Angaben (Lizenz, Backend-URL, Produkte).
- Die Installation sollte erfolgreich abgeschlossen werden.
- Wenn Sie das Echtzeit-Modul verwenden, gehen Sie zu Named Credentials, bearbeiten Sie das Named Credential DQE One Tooling API und speichern Sie es.
Wie Sie das künftig vermeiden
- Öffnen Sie im Salesforce-Setup die Connected App / External Client App DQE One Installer und prüfen Sie deren OAuth-Richtlinien: die Gültigkeitsdauer des Refresh Tokens und ob Rotate Refresh Token aktiviert ist. Erfordert die Sicherheitsrichtlinie Ihrer Org die Rotation, muss DQE One jedes Mal erneut verbunden werden, wenn sie greift.
- Vermeiden Sie es, den Benutzer, der die DQE-One-Verbindung autorisiert hat, zu deaktivieren, zu sperren oder ihm die Berechtigung API Enabled zu entziehen, ohne DQE One zuvor unter einem anderen Benutzer erneut zu verbinden.
- Prüfen Sie Setup > Connected Apps OAuth Usage, bevor Sie Tokens der Anwendung DQE One Installer widerrufen, da dies sofort alle DQE-One-Prozesse unterbricht.
Wann Sie den DQE-Support kontaktieren sollten
Besteht der Fehler nach der erneuten Verbindung weiter, geben Sie die Salesforce-Umgebung, die Organisations-ID, den betroffenen Prozess oder Job, die genaue Fehlermeldung, den Zeitpunkt des Fehlers sowie an, ob es sich um ein einmaliges oder wiederkehrendes Problem handelt.
Verwandte Artikel
- Set up after a refresh or sandbox creation
- Complete the DQE One Installer Setup Wizard
- How to troubleshoot API authentication issues
- Why does the DQE One Installer stay stuck in Salesforce?
- Salesforce Permissions for DQE One
Verknüpfung mit